Rettighetseskalering betyr å få mer tilgang enn du fikk. En angriper starter med en konto med lav rettighet, kanskje en standardbruker eller en kompromittert tjeneste. Derfra finner de en måte å bli administrator eller root. Disse høyere rettighetene lar dem deaktivere sikkerhetsverktøy, installere bakdører og få tilgang til data som tidligere var utenfor grensene. Eskalering er ofte trinnet som gjør et mindre kompromiss til et alvorlig brudd.

Eskalering finnes i to former. Vertikal eskalering beveger seg oppover privilegiestigen, fra bruker til administrator. Horisontal eskalering beveger seg sidelengs, fra én brukerkonto til en annen med lignende rettigheter. Begge deler er viktig. En angriper som kompromitterer en brukerstøttekonto og eskalerer horisontalt til en finanskonto, kan godkjenne betalinger. Teknikkene spenner fra å utnytte uoppdaterte kjernesårbarheter til å finne legitimasjon i konfigurasjonsfiler eller minne. Feilkonfigurerte tjenester som kjører som SYSTEM er en vanlig bane. Det samme gjelder planlagte oppgaver, svake tjenestetillatelser og lagret legitimasjon i skript. Når en angriper har administratorrettigheter, blir deteksjon vanskeligere. De kan deaktivere logging, tømme hendelseslogger og installere rootkits. Jo tidligere eskalering oppdages, desto bedre.

Vanlige eskaleringsveier

• Ikke-oppdaterte kjerne- eller tjenestesårbarheter
• Feilkonfigurerte tillatelser på filer eller tjenester
• Legitimasjon lagret i klartekst eller minne
• Svake tjenestekontoer med for mange rettigheter
• Utnyttelse av planlagte oppgaver eller oppstartsskript

Minste privilegium begrenser hvor mye en angriper kan gjøre før den eskalerer. Oppdatering lukker sårbarhetene de trenger for å eskalere.